Seguridad perimetral: arquitecturas de firewall, DMZ, VPN y protocolos de autenticación

Seguridad perimetral

Definición: Protección de la red en su punto de contacto con el exterior (Internet).

Funciones del firewall

• Filtrado de tráfico → dirección IP de origen/destino y puertos.
• Ocultación de red → oculta la topología interna.
• Proxy → actúa como intermediario entre el cliente interno y el servidor externo.
• Logs y monitorización → detección de ataques y accesos sospechosos.

Tipos de arquitecturas perimétricas

1. Firewall de filtrado de paquetes (screening router)

Modelo más básico. Una interfaz. Evalúa paquetes según reglas. Es simple pero menos seguro.

2. Dual-homed host (doble interfaz)

• Dos tarjetas de red.
• No hay comunicación directa entre las dos redes conectadas al equipo.
• Todo el tráfico pasa por el equipo.
• Usa proxies por servicio.

3. Multihomed bastion host

• Más de dos interfaces.
• Segmenta la red interna.
• Permite un control más granular.
• Más seguro que la arquitectura dual-homed.

Screened host

Arquitectura de dos capas: router (filtrado de paquetes) + bastion host (proxy). Proporciona protección por etapas.

Screened subnet (DMZ)

¿Qué es una DMZ? Es una zona intermedia donde se colocan servidores públicos (web, correo, etc.) para no exponer la red interna.

• Arquitectura débil: un firewall. Protección básica; si el firewall falla, el riesgo es alto.
• Arquitectura fuerte: dos firewalls. Mayor separación y mayor seguridad.

VPN y acceso remoto

Las VPN permiten conectar usuarios o redes a través de Internet de forma segura mediante cifrado, integrando el equipo remoto como si estuviera dentro de la red local. Son económicas y móviles, pero dependen del proveedor de servicios (ISP) y, si un nodo se compromete, puede afectar a toda la red.

Un servidor de acceso remoto permite conectarse desde el exterior y acceder a recursos internos tras una autenticación adecuada.

Protocolos de autenticación

1. Métodos básicos

• PAP: usuario y contraseña en texto plano. Muy inseguro.
• SPAP: contraseña cifrada; el servidor la valida en claro. Poco seguro.

2. Autenticación por desafío

• CHAP: proceso basado en desafío en tres pasos. Usa hash MD5. No envía la contraseña en claro; más seguro que PAP.
• MS-CHAP: versión de Microsoft. Puede incluir verificaciones aleatorias durante la sesión.

Protocolos extensibles

EAP: framework para diferentes métodos de autenticación. Muy usado en Wi‑Fi (WPA/WPA2).

PEAP: EAP dentro de un túnel TLS. Proporciona autenticación mutua y protege contra puntos de acceso falsos y ciertos ataques DoS.

Diario de una intrusión

En la fase de reconocimiento, el atacante recopiló información mediante consultas Whois para obtener el rango de IP y realizó ingeniería social para conocer el sistema operativo y los servicios internos.

En la fase de escaneo, utilizó Nmap para detectar puertos abiertos y versiones vulnerables, identificando un servidor web desactualizado.

En la obtención de acceso, explotó esa vulnerabilidad para acceder remotamente al servidor y conseguir privilegios básicos.

Para el mantenimiento del acceso, instaló un troyano con puerta trasera que le permitía reconectarse sin repetir el ataque.

Finalmente, en la fase de borrado de huellas, modificó los logs del sistema y eliminó registros del IDS para ocultar su actividad.

Sniffer: captura de tráfico

Se instala Wireshark en una máquina y se captura tráfico mientras se hace login por Telnet y SSH desde otra.

Con el filtro "telnet" y la opción "Follow TCP Stream" se puede ver el usuario y la contraseña en texto plano.

En cambio, al capturar una sesión SSH, los datos aparecen cifrados e ilegibles.

Ejercicio

Es lo mismo que antes, pero lo puso ella.

Resumen: seguridad perimetral (definición y zonas)

La seguridad perimetral es el conjunto de medidas que protegen la red en su punto de conexión con el exterior (Internet), controlando el tráfico que entra y sale mediante firewalls y otros sistemas de filtrado.

Zonas en las que se basa:

• Red externa (Internet).
• Zona desmilitarizada (DMZ).
• Red interna (LAN).

La DMZ es una subred intermedia entre la red interna y la externa donde se colocan los servidores públicos para evitar que un ataque comprometa la red interna.

UFW (Uncomplicated Firewall)

UFW es una herramienta sencilla para gestionar el firewall en Linux, permitiendo controlar qué conexiones entran o salen del sistema.

Si una regla está en deny, el firewall bloquea la conexión sin responder, provocando que el cliente quede esperando (timeout).

Si una regla está en reject, el firewall bloquea la conexión pero responde indicando que el puerto está cerrado, generando un error inmediato.

Al eliminar la regla, el servicio vuelve a ser accesible porque el puerto queda permitido.